금융권 연쇄 해킹의 후속 조치들이 나오고 있다. 전 금융권 보안 점검, 관제 강화, 취약점 평가 확대. 익숙한 목록 사이에 낯선 항목이 하나 있다. CEO와 이사회의 책임 강화. 보안 담당자들 사이에서 "드디어"라는 말이 나왔고, 나도 같은 마음이다. 이번 사태를 겪고 바뀌어야 할 곳이 한 군데뿐이라면, 그곳은 서버실이 아니라 회의실이다.
이번에 뚫린 자리들을 다시 보자. 패치가 밀린 서버, 지원 끝난 장비, 사람 없는 야간 관제. 어느 것도 기술이 모자라서 못 한 일이 아니었다. 돈과 사람, 결국 우선순위의 문제였다. 그런데 우선순위는 보안팀 회의가 아니라 예산 회의에서 정해진다. CISO가 아무리 유능해도 교체 예산이 깎이면 낡은 장비로 버텨야 하고, 충원이 반려되면 밤에 관제실을 지킬 사람이 없다. 보안 사고를 거슬러 올라가면 그 끝에는 기술 문서보다 품의서가 놓여 있는 경우가 많다.
그동안 이사회에서 보안이 어떻게 다뤄져 왔던가. 1년에 한 번, 안건 맨 뒤에 붙는 "정보보호 현황 보고" 한 장. 인증 취득 완료, 점검 결과 양호. 질문 없이 다음 안건으로 넘어간다. 이사들이 게을러서가 아니라, 보안이 늘 '잘되고 있다는 보고'의 모양으로만 올라왔기 때문이다. 매출은 숫자가 나쁘면 회의실이 들썩이는데, 보안은 나쁜 숫자가 애초에 올라오질 않는다. 올라오는 날은 이미 사고가 난 다음이다.
그래서 책임 강화에 동의하면서도, 서명란 하나 늘어나는 걸로 끝나지 않을까 걱정이 앞선다. 이사회가 "우리 보안 괜찮나"라고 물으면 돌아오는 답은 "네"뿐이다. 그 대신 이렇게 물어보면 어떨까. 인터넷에 닿아 있는 우리 시스템이 몇 개인가. 그중 지원 끝난 장비는 몇 대인가. 침입을 알아차리는 데 평균 며칠 걸리는가. 복구 훈련은 마지막으로 언제 해봤는가. 전부 숫자로 답이 나오는 질문들이고, 숫자가 나쁘게 나오면 예산은 움직이게 돼 있다.
사실 경영진 입장에서도 계산이 달라진 지 오래다. 이번에 유출 회사들이 치르는 값만 봐도 과징금에서 끝나지 않는다. 고객이 떠나고, 소송이 쌓이고, 경영진 교체 이야기가 나온다. 고객 데이터로 장사하는 회사라면, 데이터 금고에 드는 돈은 공장의 안전설비처럼 아낄 성질의 것이 아니다.
물론 이사회만 바뀐다고 될 일은 아니고, 보안팀도 준비할 게 있다. 취약점 몇 건, 패치율 몇 퍼센트는 이사회가 알아들을 수 있는 말이 아니다. 이 시스템이 하루 멈추면 매출이 얼마 빠지고, 이 데이터가 새면 과징금이 얼마인지로 바꿔 말해야 회의실이 움직인다. 보안이 이사회 안건이 된다는 건, 보안도 경영의 언어를 배워야 한다는 뜻이다.
이 가을의 교훈이 "솔루션을 더 사자"에 그친다면, 내년 이맘때 같은 칼럼을 또 쓰게 될 것이다. "보안 사고는 서버실에서 터지지만, 그 원인은 대개 회의실에서 만들어진다."
*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.
댓글
(0)